AI Act opiera się na podejściu do ryzyka. Komisja Europejska opisuje cztery poziomy: od zastosowań zakazanych, przez systemy wysokiego ryzyka, po obowiązki przejrzystości i rozwiązania minimalnego ryzyka. Dla przedsiębiorstw najważniejsza zmiana polega na tym, że sama informacja „używamy AI” przestanie wystarczać. Potrzebny będzie opis procesu, danych, nadzoru człowieka i możliwych skutków dla użytkownika.
Najpierw mapa narzędzi, potem automatyzacja
Największy ciężar spadnie na obszary, w których automatyzacja wpływa na dostęp do pracy, edukacji, usług finansowych, zdrowia albo usług publicznych. System porządkujący CV, oceniający ryzyko klienta lub wspierający decyzję administracyjną nie będzie traktowany tak samo jak filtr antyspamowy. W praktyce firma musi więc najpierw zinwentaryzować narzędzia, których już używa, zanim zacznie kupować kolejne.
Przejrzystość będzie częścią produktu
Osobnym problemem są modele ogólnego przeznaczenia i treści generowane automatycznie. Przepisy kładą nacisk na przejrzystość, prawa autorskie, oznaczanie niektórych treści oraz możliwość wyjaśnienia sposobu działania systemu. To szczególnie ważne dla marketingu, mediów, HR i obsługi klienta, gdzie granica między wsparciem pracy a zastąpieniem decyzji bywa niewyraźna.
Firmy będą potrzebowały mniej efektownych prezentacji o transformacji, a więcej prostych procedur: rejestru narzędzi AI, zasad zatwierdzania nowych wdrożeń, oceny ryzyka, instrukcji dla pracowników i ścieżki reagowania na błędy. Największe ryzyko nie polega wyłącznie na karach. Polega na tym, że organizacja nie będzie w stanie odtworzyć, dlaczego system wygenerował rekomendację i kto ją zaakceptował.
Dla polskich firm AI Act może być także szansą na uporządkowanie chaosu. W wielu organizacjach narzędzia AI weszły przez pojedyncze zespoły, testowe konta i nieformalne skróty pracy. Regulacja wymusza pytanie, które i tak należało zadać: gdzie automatyzacja realnie pomaga, a gdzie tworzy odpowiedzialność, której nikt nie chce później podpisać.
W praktyce szczególnie ważna będzie rola zamawiających. Jeżeli firma kupuje system od dostawcy, nie może ograniczyć się do prezentacji handlowej i obietnicy skuteczności. Powinna wiedzieć, czy narzędzie podlega obowiązkom wysokiego ryzyka, jakie dane były używane do testów, jak wygląda dokumentacja i co dzieje się po zgłoszeniu błędu przez użytkownika.
Drugim obszarem jest edukacja pracowników. AI Act nie będzie działał, jeśli zostanie zamknięty w dziale prawnym. Osoby piszące kampanie, oceniające kandydatów, przygotowujące raporty lub obsługujące klientów muszą rozumieć, kiedy korzystają z narzędzia pomocniczego, a kiedy zaczynają delegować decyzję, która wymaga odpowiedzialności człowieka.